Le JWT Inspector décode un JSON Web Token et explique chaque partie : l’en-tête, la charge utile avec des revendications nommées et interprétées, la signature, la durée de vie du jeton, la détection de Microsoft Entra ID / Azure, les avertissements de sécurité et les détails de l’algorithme. Vous pouvez éventuellement vérifier la signature. Tout s’exécute localement dans votre navigateur ; le jeton n’est jamais envoyé ni stocké.
Collez un jeton dans le champ : le décodage se fait au fil de la saisie. L’inspecteur découpe la forme compacte header.payload.signature en ses trois parties codées par couleur et lit le JSON des deux premières. Rien n’est envoyé : le jeton reste dans votre onglet de navigateur.
Les valeurs portent une couleur. Vert marque un élément rassurant, comme une signature valide ou un jeton actuellement valide. Rouge marque un avertissement : un jeton expiré, alg: none, une signature absente ou un autre problème de sécurité. Gris est une information neutre. Le verdict global de la carte de résumé est Semble correct, À vérifier ou Risqué.
Les constats sont regroupés en cartes : État du jeton (algorithme, signature présente, type, longueur), Durée de vie du jeton (émis le, valide à partir de, expiration, durée totale, âge et temps restant), En-tête, Charge utile avec chaque revendication expliquée, Signature, les détails de l’Algorithme, les Avertissements de sécurité et, si détecté, une carte Microsoft Entra ID qui extrait les ID de locataire, d’application et d’objet. Utilisez le champ de recherche pour filtrer les revendications par nom ou par valeur.
Le panneau Vérifier la signature peut contrôler le jeton face à sa clé. Choisissez Secret partagé (HMAC) pour HS256/384/512 et collez le secret, ou Clé publique en PEM ou JWK pour les algorithmes RS/PS/ES/EdDSA. La vérification utilise WebCrypto intégré au navigateur et la clé ne quitte jamais votre appareil. Un jeton non sécurisé (alg: none) ne peut pas être vérifié ici — c’est indiqué honnêtement.
La carte Outils JSON permet de copier, embellir, minifier et télécharger le JSON de la charge utile. La section Exporter le rapport télécharge le résultat complet en Markdown ou JSON, ouvre une mise en page A4 prête à imprimer que vous pouvez enregistrer en PDF, ou copie le jeton. Le rapport reprend les mêmes libellés et la même langue que l’écran.
L’interface est disponible en anglais, allemand, français, italien et espagnol, au choix dans le menu de coin. Tout est décodé dans votre navigateur : rien n’est envoyé, journalisé ni stocké, ce qui vaut à l’app le label vert (Local). Le compteur dans le coin est le même compteur de visites anonyme que celui de tous les outils de la suite. Des questions ou des suggestions ? Utilisez le lien Feedback — il ouvre le formulaire de contact de la suite avec JWT Inspector présélectionné.